Wéi den IPsec-Zoustand iwwerpréiwen, ouni d’Schlësselen ze verëffentlechen

En IPsec-Zoustands-Dump ass kee Statusrapport, an en esou ze behandelen ass de Wee, wéi Schlësselmaterial an engem ëffentlechen Issue-Tracker landt. Verschidde Kernel-Inspéktiounsausgaben enthalen d’Trafiks-Schlësselen, déi de Kernel benotzt, zesumme mat Adressen, Selektoren a Contoren, déi wierklech nëtzlech sinn. Déi sécher Gewunnecht ass, fir d’éischt d’Zesummeschloss ze sammelen a just dann op de rohen Zoustand ze gräifen, wann d’Zesummeschloss d’Fro net ka beäntwerten. Wann dir de rohen Zoustand awer musst kucken, kuckt et lokal a deelt eppes méi Engt.

Kontroll 1: kann dësen Artefakt d’Maschinn iwwerhaapt verloossen

Eng Konfiguratiounsdatei, e private Schlëssel, eng onbeschränkt Paketoflängung an en rohen Zoustands-Dump sinn all Geheimnisser, bis d’Géigendeel bewisen ass. En Uerder, deen Schlësselen dréckt, gëtt net sécher dofir, datt dir en fir Diagnostik ausgefouert hutt.

D’Regel ass einfach genuch, fir se an engem Saz ze soen: deelt d’Observatioun, déi d’Fro beäntwert, net de Maschinnenzoustand, deen se produzéiert huet.

Kontroll 2: wielt den Zesummeschloss-Uerder, net den Zoustands-Dump

Fir strongSwan weist swanctl --list-sas d’Zesummeschloss vun der Associatioun: Identitéiten, installéiert Child-SAen, Zoustanden a Contoren. Et brauch net de rohen Schlëssel-Dump, an et ass dat Éischt, wat an en Ticket gehéiert. Op der Kärsäit ënnerstëtzt iproute2 ip xfrm state list nokeys a Versiounen, déi d’Optioun dokumentéieren, wat Schlësselmaterial ënnerdréckt an d’Associatiounsfelder behält.

Bestätegt d’Syntax am lokalen Handbuch, ier dir iech drop verloosst, well d’Optioun net an all Verëffentlechung do ass, an eng allgemeng Zoustandslescht ouni si en aneren Uerder mat enger anerer Ausgab ass. ip xfrm state op engem ale Build lafen ze loossen, fir ze gesinn, ob de Fändel existéiert, ass genee de Feeler, ëm deen et an dëser Checklist geet.

Kontroll 3: notéiert just dat, wat d’Enquête brauch

Associatiounsstatus, Algorithmen, Selektoren, Zäitstempel, Richtung an déi relevant Contoren sinn normalerweis genuch. Kontidentitéiten, ëffentlech Adressen an intern Topologie dacks net, an se kënne redigéiert ginn, ouni diagnostesche Wäert ze verléieren.

Redigéiert standardméisseg a füügt op Ufro erëm dobäi. Dee, deen ären Ticket liest, kann nach ee Feld froen; awer en agefügte Schlëssel kann hien net ongesinn maachen.

Et gëtt en Tëschewee, deen et wäert ass ze kennen: och eng Zesummeschloss kann sensibel sinn. Identitéiten, Peer-Adressen an Nimm vu Child-SAen beschreiwen är Topologie, an a verschiddenen Organisatiounen ass dat selwer limitéiert Informatioun. Entscheet, wien d’Publikum ass, ier dir klewwt, a bevirzugt e Kanal mat der richteger Zougriffssteierung géintiwwer engem ëffentlechen Thema. En sécheren Uerder ass net datselwecht wéi en séchert Zil.

Kontroll 4: korreléiert een Versuch op béide Säiten

Hält de Client an de Gateway fir dee selwechte Verbindungsversuch zur selwechter Zäit fest, a vergewëssert iech, datt d’Associatioun, déi dir beschreift, déi ass, déi dëse Versuch produzéiert huet. Eng veralterte Child-SA aus engem fréiere Versuch mat enger frëscher Routenopnam ze mëschen ergëtt en Rapport, deen intern konsequent a komplett irreführend ass.

Identifizéiert d’Associatioun iwwer hir eenzegaarteg Identifikatoren an net iwwer den Tunnel, a notéiert d’Richtung vum Feeler. Wann de Symptom keng Trafik an enger Richtung ass, soet wéi eng Richtung a setzt en harmlose Testzil derbäi, sou datt de Lieser iwwer de Wee kann nodenken, amplaz ze roden. En Contor, deen an enger Richtung null ass an an der anerer klëmmt lokaliséiert de Problem vill besser wéi all Schlëssel-Dump. Hält d’Zäitstempelen an enger Zäitzon a soet wéi eng.

Kontroll 5: wat maachen, wann de Material schonn offenbart gouf

D’Läschen vum Uschloss beweist net, datt keen en opgehuewen huet, an eng ëffentlech Kleewung gëtt séier kopéiert.

Behandelt dat als Incident a benotzt den Ersatzprozess vum Bedreiwer: rotéiert déi betraffe Schlësselen oder Umelldaten, iwwerpréift, ob d’Offenbarung eng méi breet Kompromittéierung bedeit, a befollegt dee gëltege Benoriichtegungswee. Déi technesch Botzen ass den einfachen Deel; d’Unhuelen, datt keen en gelies huet, ass den schwéieren.

Déi dauerhaft Praxis ass eng kleng Schabloun, déi dir virum Klewen ausfëllt: wéi eng Säit, wéi eng Associatiounsidentifikatioun, wéi eng Richtung, wéi en Contor a wat schonn ausgeschloss gouf. d’Dokumentatioun vu swanctl list-sas beschreift d’Zesummeschlossfelder, an dat ass, wat déi meescht Ticketen tatsächlech brauchen. Alles anescht ass op Ufro fir dee verfügbar, wien et brauch. En diagnostesche Rapport sollt Beweiser enthalen, keen Zougang.